Le 29 septembre 2026, l’ANSSI a publié son rapport d’incident sur la cyberattaque DGFiP, remis au Premier ministre cinq jours plus tôt. Il porte sur les activités illégitimes observées entre mai et août 2026 dans les systèmes d’information de la direction générale des finances publiques. L’agence y décrit une attaque peu sophistiquée, qui a tiré parti de faiblesses connues sur trois terrains : la gestion des identités, l’architecture et la détection.
Ce que dit le rapport sur la cyberattaque DGFiP
Deux exfiltrations ont été revendiquées publiquement : le 12 août pour des données issues de la plateforme impots.gouv.fr, le 13 août pour des données cadastrales. Le point de situation REACTIV publié par le CERT-FR le 30 septembre chiffre la première à environ 353 000 usagers particuliers (état civil, coordonnées, identifiant fiscal, situation familiale, revenu fiscal de référence, taux de prélèvement à la source) et 252 000 professionnels. La seconde touche environ 434 000 usagers du cadastre ; elle a été menée depuis le compte compromis d’un géomètre-expert exerçant dans un cabinet privé.
Sur les causes, l’ANSSI ne laisse guère de place à l’interprétation. Des identifiants légitimes d’agents ont été volés après avoir été utilisés sur des équipements personnels. Les portails donnant accès à des ressources sensibles n’exigeaient pas d’authentification forte. Des applications sensibles étaient exposées sur internet ou joignables depuis le réseau interministériel de l’État sans cloisonnement, ce qui a permis des déplacements latéraux, notamment depuis des ressources compromises du ministère de l’Éducation nationale.
Enfin, aucune des deux vagues d’exfiltration n’a été détectée, ni par la DGFiP ni par l’ANSSI. L’un des portails utilisés n’était pas supervisé et aucun mécanisme ne corrélait les signaux suspects. Selon l’analyse publiée par Next, des partenaires avaient pourtant signalé des comptes compromis dès juin, et la double authentification par courriel a été contournée depuis le poste du géomètre-expert. Le rapport complet est téléchargeable sur le site de l’agence.
Une chaîne de compromission à la portée de n’importe qui
Le scénario se résume simplement. Un logiciel espion, de ceux qu’on appelle infostealers, s’installe sur un ordinateur familial et récupère les mots de passe enregistrés dans le navigateur. Ces identifiants sont revendus. Un acheteur se connecte à un portail ouvert sur internet qui ne demande qu’un mot de passe, puis extrait des données à un rythme qu’aucun agent n’aurait jamais eu, sans que personne ne s’en aperçoive.
Rien de tout cela n’est propre à l’État. Une commune dont les élus consultent le logiciel de gestion des délibérations depuis leur tablette personnelle, un établissement de santé dont les praticiens libéraux accèdent au dossier depuis leur cabinet, un SPST dont un prestataire administre le logiciel métier à distance : le chemin d’attaque est le même.
Ce que les collectivités et établissements doivent vérifier
Les accès depuis des équipements personnels
L’ANSSI recommande d’interdire l’usage d’appareils personnels pour accéder aux ressources professionnelles et de réserver l’accès aux applications internes aux postes administrés, via un VPN dédié. Dans une collectivité, cette question touche autant les élus que les agents en télétravail. La charte informatique doit le dire, et la configuration technique doit l’imposer.
L’authentification forte sur tout ce qui est exposé
Messagerie, portail RH, logiciel métier, outil de gestion des aides, espace des prestataires : chaque application accessible depuis internet doit exiger un second facteur. Un code reçu par courriel offre peu de protection si la messagerie est elle-même compromise.
Les comptes des tiers
Le géomètre-expert du dossier cadastral était un utilisateur externe. Les collectivités ouvrent des comptes à des notaires, bailleurs, bureaux d’études, éditeurs. Il faut en tenir la liste, les revoir au moins une fois par an, fermer ceux qui ne servent plus et inscrire dans les contrats conclus au titre de l’article 28 du RGPD les exigences de sécurité attendues du partenaire, double authentification comprise.
Le cloisonnement des réseaux partagés
Syndicats informatiques, réseaux intercommunaux, groupements hospitaliers de territoire : ces interconnexions rendent service, et elles élargissent la surface d’attaque. Une compromission chez un voisin ne doit pas donner accès à vos applications.
La détection des extractions massives
L’ANSSI préconise de fixer des seuils sur le volume de données accessible par un compte. Un agent d’accueil qui consulte trois cents fiches dans la nuit doit déclencher une alerte. Cela suppose des journaux conservés, centralisés et relus, et une procédure pour traiter un signalement extérieur : réinitialiser le mot de passe ne suffit pas si les sessions ouvertes ne sont pas révoquées.
Les obligations RGPD qui en découlent
L’article 32 du RGPD demande des mesures de sécurité adaptées au risque. Après ce rapport, il sera difficile de soutenir qu’un portail exposé sans authentification forte, donnant accès à des données d’usagers, répond à cette exigence. L’article 33 impose de notifier la CNIL dans les 72 heures après avoir pris connaissance d’une violation. Le cas de la DGFiP montre que l’organisme apprend parfois l’incident par une revendication publique, des semaines après l’exfiltration : sans journaux exploitables, il ne peut ni dater l’accès ni délimiter les personnes concernées, et la notification reste incomplète. Je recommande d’inscrire dans la procédure de gestion des violations qui lit les journaux, en combien de temps, et qui décide de l’information des personnes au titre de l’article 34.
DPO FRANCE, réseau national de DPO indépendants, accompagne collectivités et établissements dans la revue de leurs accès externes, de leurs contrats de sous-traitance et de leur procédure de violation. DPO SUITE, le logiciel de conformité du réseau, tient le registre des traitements, la liste des sous-traitants et le registre des violations, avec les preuves des mesures prises.
